Недавний анализ безопасности выявил интересный случай. Контракты, связанные со ставками в ListaDAO, были атакованы, но причина заключалась не в простом баге, а в уязвимости, скрытой в логике проектирования.

По отчету GoPlus Security, произошла атака на контракт Liquid Staking Vault, и злоумышленник успешно использовал функцию расчета доли в контракте Dividend. При переводе определенных токенов эта функция срабатывала и вмешивалась в логику распределения наград в хранилище ставок, что в итоге позволило вывести большое количество активов.

Стоит отметить, что проблема с логикой существовала как в стороне Liquid Staking Vault, так и в контракте Dividend. То есть, проекты, скопировавшие такую же реализацию или использующие похожий дизайн, могут столкнуться с теми же рисками. Вероятность злоупотребления считается очень высокой.

В качестве рекомендации для команд разработки вновь подчеркивается важность аудита. Полагаться только на однократный аудит недопустимо; необходимы постоянные проверки безопасности и пересмотр логики, связанной со ставками. Безопасность смарт-контрактов — это не разовая задача, а постоянный процесс, и этот случай еще раз напомнил об этом.